Naviguer dans l’EHDS : les étapes clés de la conformité

L’Espace européen des données de santé (EHDS) est désormais une loi — le règlement (UE) 2025/327 —, le premier cadre juridique à l’échelle de l’UE régissant à la fois l’usage primaire et l’usage secondaire des données de santé électroniques. Adopté le 11 février 2025 et entré en vigueur le 26 mars 2025, il fixe une architecture unifiée pour l’accès, l’échange et la réutilisation des données de santé dans tous les États membres. Pour les établissements, les payeurs, les équipes des sciences de la vie et les éditeurs de santé numérique, l’opportunité est considérable ; la responsabilité de mettre en œuvre les droits, l’interopérabilité et la sécurité bien avant les échéances l’est tout autant.

L’EHDS n’est pas une case de conformité de plus. C’est un changement structurel dans la façon dont les données de santé sont gouvernées, échangées et réutilisées dans l’UE. Pour les établissements, les payeurs, les entreprises de santé numérique et les chercheurs, cela signifie passer de systèmes cloisonnés à des flux de données interopérables, centrés sur le patient et liés à une finalité. Le règlement donne une direction claire ; sa mise en œuvre exige une planification délibérée et progressive de l’architecture, des processus et du produit. Surtout, l’EHDS ne fonctionne pas isolément : il croise le RGPD, le règlement sur l’IA, NIS2 et les futurs actes d’exécution que la Commission doit finaliser d’ici mars 2027.

Feuille de route : connaître vos échéances

Avant d’aborder la liste de contrôle, il est essentiel d’intégrer le calendrier par phases. Le règlement est entré en vigueur en mars 2025, mais sa pleine application s’échelonne sur une décennie :

Mars 2025 — Entrée en vigueur du règlement ; début de la période de transition. Les États membres doivent commencer à désigner des autorités nationales de santé numérique chargées de superviser la mise en œuvre nationale.

Mars 2027 — Date limite pour l’adoption par la Commission des principaux actes d’exécution et délégués qui définiront les détails techniques et procéduraux de l’ensemble du règlement. Les exigences de certification des systèmes de DPI deviennent applicables.

Mars 2029 — Premier grand jalon d’application. L’échange pour usage primaire des résumés patients et des prescriptions/délivrances électroniques doit être opérationnel dans tous les États membres via MyHealth@EU. La plupart des dispositions relatives à l’usage secondaire — y compris l’accès aux dossiers de santé électroniques pour la recherche — entrent en application.

Mars 2031 — Le deuxième groupe de catégories de données à usage primaire entre en service : images médicales, résultats de laboratoire et comptes rendus de sortie d’hospitalisation. Les obligations d’usage secondaire relatives aux données d’essais cliniques et aux données génétiques humaines s’appliquent également à partir de cette date.

Mars 2035 — Des pays tiers et des organisations internationales peuvent devenir participants autorisés à HealthData@EU s’ils respectent les normes requises.

Le non-respect entraîne des conséquences financières importantes : des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial total — le montant le plus élevé étant retenu —, plus des astreintes pour chaque jour de retard dans l’accès aux données.

Votre liste pratique de conformité

La liste suivante indique ce qu’il faut prioriser maintenant, ce qu’il faut aligner en parallèle et comment bâtir des fondations durables pour toutes les phases d’application.

1. D’abord le périmètre : distinguer usage primaire et usage secondaire

Inventoriez vos flux de données et classez-les en usage primaire (prise en charge : soins directs, prescriptions, adressages) ou usage secondaire (recherche, politiques fondées sur les preuves, décisions réglementaires, innovation). Les obligations diffèrent fortement selon la catégorie, et le texte de l’EHDS structure explicitement les exigences juridiques — droits, devoirs et mécanismes de gouvernance — autour de cette distinction^[1]. Une mauvaise classification est l’une des erreurs de conformité les plus courantes et les plus coûteuses ; traitez-la au niveau de l’architecture des données, pas après coup.

2. Comprendre la double supervision

L’EHDS introduit une structure de supervision à plusieurs niveaux. Les autorités de protection des données conservent leur pleine compétence pour contrôler le respect du RGPD, tandis que de nouveaux organismes responsables de l’accès aux données de santé (HDAB) superviseront le régime d’accès sectoriel, les autorisations de données, les redevances et les conditions d’usage secondaire^[7]. Les deux ensembles d’obligations s’appliquent simultanément. Cartographiez vos traitements au regard des deux régimes et assurez-vous que votre DPO et vos équipes conformité connaissent l’articulation entre les règles du RGPD et de l’EHDS : elles sont complémentaires, pas redondantes.

3. Échanger tôt avec votre HDAB national

Les États membres mettent en place les HDAB comme intermédiaires nationaux entre détenteurs et utilisateurs de données de santé. Ces organismes évalueront les demandes d’accès pour usage secondaire, délivreront les autorisations de données et tiendront des catalogues nationaux de jeux de données conformes au standard de métadonnées HealthDCAT-AP^[6]. Les détenteurs de données de santé doivent communiquer à leur HDAB national les jeux de données qu’ils détiennent et tenir ces descriptions exactes et à jour au moins une fois par an^[5]. Engagez ce dialogue dès maintenant : comprenez ce qu’attend le HDAB de votre juridiction et mettez en place les processus internes pour remplir les obligations de catalogue et de reporting avant qu’elles ne deviennent obligatoires.

4. Faire de l’interopérabilité un socle, pas un projet

Alignez vos modèles de données, vos API et vos systèmes de DPI sur le format européen d’échange des dossiers médicaux électroniques (EEHRxF), dont la Commission finalisera les spécifications techniques d’ici mars 2027. Attendez-vous à des profils fondés sur des ressources HL7 FHIR, à des terminologies codées standardisées (SNOMED CT, LOINC, CIM) et à des jeux de données lisibles par machine que les systèmes de DPI devront à la fois ingérer et produire^[1][3][4]. Les éditeurs de DPI devront aussi obtenir une certification démontrant leur conformité à l’EEHRxF : prévoyez-le dans vos feuilles de route produit et vos cycles d’achat. L’interopérabilité n’est plus optionnelle ; c’est une condition légale.

5. Faire des droits des patients des fonctionnalités produit

Les personnes doivent pouvoir accéder à leurs données de santé personnelles, les télécharger, les transmettre et — le cas échéant — en restreindre l’accès via un service national d’accès aux données de santé électroniques (portail ou application). Cela comprend l’accès par mandataire pour les personnes à charge et un mécanisme clair de rectification des données inexactes^[1][8]. L’EHDS introduit aussi un mécanisme d’opposition (opt-out) à l’usage secondaire : chacun peut décider si ses données de santé peuvent être utilisées à des fins de recherche et de politiques publiques, et cette opposition doit être techniquement applicable dans vos pipelines de données. Construisez-les comme des fonctionnalités produit à part entière — et non comme des ajouts de conformité —, adossées à des journaux d’audit lisibles que les patients peuvent consulter eux-mêmes.

6. Se préparer à l’infrastructure transfrontalière

Deux infrastructures numériques à l’échelle de l’UE sont au cœur du fonctionnement de l’EHDS. MyHealth@EU gère l’échange transfrontalier pour usage primaire (résumés patients, prescriptions électroniques, comptes rendus d’imagerie). La plateforme fédérée émergente HealthData@EU permettra la découverte et l’accès transfrontaliers aux données à usage secondaire, en reliant les catalogues nationaux des HDAB et les environnements de traitement sécurisés^[7][9]. Concevez dès maintenant vos systèmes pour être conformes aux deux : assurez-vous de pouvoir produire des jeux de données conformes aux profils MyHealth@EU et que vos métadonnées soient structurées pour le catalogage HealthDCAT-AP avant l’échéance de 2029.

7. Concevoir pour des autorisations de données, pas pour des extractions massives

Avec l’EHDS, l’accès aux données de santé pour usage secondaire n’est pas automatique. Les demandeurs — chercheurs, autorités publiques, entreprises des sciences de la vie — doivent déposer une demande formelle auprès du HDAB compétent, qui l’évalue selon des critères comme la finalité prévue, l’adéquation des garanties, la conformité au RGPD et la valeur d’intérêt public de l’usage proposé^[5]. Ce n’est qu’après la délivrance d’une autorisation que les données peuvent être consultées, et le traitement doit avoir lieu dans des environnements de traitement sécurisés accrédités (SPE), et non sur l’infrastructure du demandeur. Construisez vos pipelines pour produire des jeux de données minimaux, désidentifiés et dotés de métadonnées de provenance complètes, et concevez votre architecture de données pour permettre dès le départ des accès limités à l’autorisation et dans le temps.

8. Sécurité et gouvernance dès la conception

Ancrez vos contrôles dans ISO/IEC 27001 et alignez-vous sur NIS2 le cas échéant, notamment pour les délais de notification des incidents, la gestion des risques de la chaîne d’approvisionnement et la classification des services essentiels. Sur le plan technique, mettez en place des contrôles d’accès zero trust, des politiques RBAC/ABAC granulaires liées à la fois aux rôles des utilisateurs et aux finalités de traitement, un chiffrement de bout en bout avec une gestion robuste des clés et des pistes d’audit immuables et interrogeables^[10]. Les contrôles de sécurité et de confidentialité sont explicitement cités dans l’EHDS comme conditions préalables à l’accès autorisé par les HDAB ; ce ne sont pas des améliorations optionnelles. Intégrez-les à votre architecture de base, pas dans une couche de conformité séparée.

9. Aligner tôt la gouvernance de l’IA et de l’analytique

L’EHDS croise directement le règlement européen sur l’IA, qui classe de nombreux systèmes d’IA en santé comme à haut risque et impose des exigences de transparence, de supervision humaine et de robustesse technique. Tenez des registres de modèles, une documentation du lignage des données, des rapports d’évaluation et des registres de risques pour tout système d’IA entraîné sur des données de santé ou les traitant. Pour les charges de travail d’usage secondaire, garantissez des espaces analytiques reproductibles — notebooks signés, jeux de données figés et versionnés — explicitement liés à une autorisation de données, à une finalité déclarée et à une date d’expiration^[1]. Traitez la gouvernance de l’IA comme une partie de votre programme de conformité EHDS, et non comme une voie parallèle.

10. Cataloguer vos jeux de données et les tenir à jour

L’une des obligations les plus lourdes sur le plan opérationnel pour les détenteurs de données de santé est de tenir des descriptions exactes et structurées de leurs jeux de données dans les catalogues nationaux des HDAB. Elles doivent être conformes au profil de métadonnées HealthDCAT-AP et mises à jour au moins une fois par an. Commencez par inventorier tous les jeux de données susceptibles d’entrer dans le champ de l’EHDS — données de DPI, archives d’imagerie, jeux de données génomiques, dossiers d’essais cliniques, données d’applications de bien-être lorsqu’elles concernent la santé — et désignez des responsables de jeux de données chargés de la tenue du catalogue. Une mauvaise qualité de catalogue risque d’être un point de friction précoce dans l’approbation des autorisations ; traitez-la de façon proactive.

11. Documenter une fois, réutiliser souvent

Centralisez vos politiques et procédures opérationnelles — workflows des droits des personnes, protocoles de désidentification, plans de réponse aux incidents, documentation de conformité EEHRxF/FHIR, AIPD et modèles de reporting aux HDAB — dans un référentiel vivant et versionné auquel vos auditeurs, votre équipe juridique et vos équipes d’ingénierie peuvent tous accéder et se fier. L’EHDS générera d’importantes obligations documentaires dans les années à venir ; construisez dès maintenant l’infrastructure pour les gérer, pas au moment des échéances.

L’EHDS récompense les équipes qui font de la conformité un savoir-faire produit : interfaces propres, pipelines prévisibles, journaux vérifiables et IA auditable. Les organisations qui investissent dès maintenant auront moins de coûts en aval et avanceront plus vite quand les jalons d’application arriveront.

L’EHDS se déploiera sur une décennie, mais l’horloge de la mise en œuvre tourne déjà. Les organisations qui s’alignent tôt — sur l’interopérabilité, les droits des patients, le catalogage des jeux de données et la sécurité dès la conception — seront mieux placées pour participer aux soins transfrontaliers, accéder aux écosystèmes européens de données de recherche et gagner la confiance des patients comme des régulateurs. Voyez-y non pas une charge réglementaire, mais une modernisation attendue de longue date de l’infrastructure des données de santé : l’interopérabilité comme socle, l’autonomie du patient comme fonctionnalité et l’accès gouverné comme avantage concurrentiel. Commencez par votre inventaire de données, identifiez vos obligations EHDS selon votre rôle et prenez de l’élan jalon après jalon.

Références

1. EUR-Lex. Regulation (EU) 2025/327 on the European Health Data Space (adopted 11 Feb 2025; OJ 5 Mar 2025; in force 26 Mar 2025). https://eur-lex.europa.eu/eli/reg/2025/327/oj/eng
2. European Commission. European Health Data Space (EHDS) – Regulation overview and implementation milestones. https://health.ec.europa.eu/.../european-health-data-space-regulation-ehds_en
3. European Commission / eHealth Network. European Electronic Health Record Exchange Format (EEHRxF). https://health.ec.europa.eu/.../ehealth-network_en
4. European Commission. Certification of EHR systems & EEHRxF. https://health.ec.europa.eu/.../certification-ehr-systems_en
5. Arnold & Porter. European Health Data Space Regulation Published in the EU Official Journal (March 2025). https://www.arnoldporter.com/.../european-health-data-space-regulation-published
6. TEHDAS2 Project. Draft Guideline for Health Data Access Bodies on Minimum Categories and Limitations on the Reuse of Health Data (September 2025). https://tehdas.eu/.../draft-guideline-hdab-minimum-categories.pdf
7. European-Health-Data-Space.com. EHDS Updates: HDABs, HealthData@EU, and supervisory architecture. https://www.european-health-data-space.com/
8. European Commission. My rights over my health data (primary use). https://health.ec.europa.eu/.../my-rights-over-my-health-data_en
9. European Commission. Electronic cross-border health services (MyHealth@EU). https://health.ec.europa.eu/.../electronic-cross-border-health-services_en
10. European Commission. NIS2 Directive – policy page. https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
11. Svingel LS et al. Shaping the future EHDS: recommendations for implementation of Health Data Access Bodies in the HealthData@EU infrastructure. European Journal of Public Health, Vol. 35, Supplement 3 (September 2025). https://doi.org/10.1093/eurpub/ckaf033
12. Kennedys Law. The European Health Data Space is in force: implications for healthcare, MedTech and life sciences (2026). https://www.kennedyslaw.com/.../ehds-implications